Aikido

Что такое Aikido?

Aikido — платформа, объединяющая безопасность приложений на уровне кода, облака и среды выполнения в единой системе.

ИИ-проверка кода, анализ исходников и ИИ-пентест охватывают разные этапы разработки с отдельными условиями доступа и оплаты.

Ключевые функции

Сканирование кода и контекстная проверка

• Безопасность зависимостей: анализ состава ПО проверяет известные CVE и рискованные лицензии открытого ПО. Он работает при отправке изменений и запросах на слияние, в IDE и при плановых повторных сканированиях, по умолчанию ежедневных.
• Статический анализ: SAST ищет известные опасные шаблоны в исходниках без запуска приложения. Ошибки логики или авторизации, не похожие на эти шаблоны, могут остаться вне охвата.
• ИИ-проверка кода: Deep Review изучает связанный код за пределами diff, учитывает более широкое влияние запроса на слияние и оставляет в нём замечания. Он может выявить пропуск проверки доступа или поломку пагинации из-за изменения, охватывая безопасность и качество.

AutoFix и обновления зависимостей

AutoFix предлагает проверяемые изменения для зависимостей, кода приложений, инфраструктуры как кода, контейнеров и результатов пентеста: встроенные diff в IDE, рекомендации CI/PR и запросы на слияние, создаваемые вручную или ежедневно.

Для зависимостей AutoFix предпочитает минимальную исправленную версию, обычно патч или минорное обновление. Мажорное обновление означает, что ни одна более низкая версия не решает проблему.

Обзор облака и контроль во время выполнения

Cloud Discovery ищет ресурсы, риски и ошибки конфигурации в разных аккаунтах; Cloud Inventory отображает активы, а собственные правила CSPM отмечают опасные настройки.

Zen Firewall встраивается прямо в код приложения и работает на том же сервере. Перечисленные меры охватывают опасный ввод, инъекции и атаки обхода путей, лимиты запросов для маршрутов и пользователей, вредоносный трафик вроде ботов или известных злоумышленников, доступ по странам и мониторинг исходящего трафика.

Руководство

Подключение репозиториев и запросов на слияние

1. Создайте аккаунт через поддерживаемое подключение системы управления исходниками и подключите нужные репозитории. Это запускает шесть типов сканирования: SCA, SAST, Secrets, Licenses, IaC и Malware.
2. Включите SAST и Code Quality в PR Checks нужных репозиториев, чтобы проверки анализировали добавленный код.
3. Отдельно включите Deep Review в PR Checks для контекстной проверки безопасности и качества за пределами diff.

Сценарии использования

Изменения авторизации в запросе на слияние

Aikido приводит пример для Deep Review: PR раскрывает заказы одного пользователя другому. Приложение продолжает работать, а SAST может не найти известного опасного шаблона.

Изоляция клиентов в существующем ПО

AI Code Analysis проверяет существующие исходники, когда команда не уверена, изолирует ли давно работающее приложение клиентов друг от друга.

Открытые в Интернете и забытые активы

Attack Surface Monitoring находит доступные активы: старую страницу входа или API администратора, открытый изменением прокси. Quick Scan постоянно проверяет внешнюю доступность уже известных доменов.

Для кого предназначен

• Команды безопасности, работающие с разработчиками: Aikido позиционирует платформу для применения мер контроля во всём SDLC и использования агентов для помощи и обучения разработчиков.
• Команды с исходниками на своих машинах: локальное сканирование поддерживает проверки при разработке, изолированные среды и чувствительные локальные репозитории; требуется совместимое рабочее пространство. По словам Aikido, стандартные интеграции быстрее и дают лучший охват в большинстве процессов.
• Организации с разными ролями пентеста: Manage Pentests управляет правом создавать, запускать и настраивать тесты. Администраторы имеют его; пользователям по умолчанию можно выдать, пользователям только команды — нельзя. Пользователи по умолчанию имеют доступ к пентестам рабочего пространства; пользователи только команды видят тест, лишь имея доступ ко всем связанным репозиториям. Без права управления можно открывать доступные тесты, работать с находками и перепроверять развёрнутые исправления.

Платформы

Управление исходниками, редакторы и CI

Aikido подключается через GitHub, GitLab, Bitbucket, Azure DevOps и локально развёрнутые системы управления исходниками. Доступны варианты для IDE: Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity и Eclipse.

Документация локального сканера описывает CI/CD для Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins и TeamCity, а также настройку Linux, Mac и Windows.

Опубликованы настройки MCP для Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode и Devin. Доступна и документация API Authorization and Rate Limiting.

Языковые границы сканера и среды выполнения

SAST различает межфайловое и внутрифайловое отслеживание загрязнённых данных. Для межфайлового анализа указаны JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++ и Visual Basic. Для внутрифайлового — Swift, Android, Kotlin, Dart, Elixir, Apex и Clojure.

Zen поддерживает Node.js, Python, PHP, Java, .NET Core and Framework, Ruby и Golang; Golang отмечен как beta.

Ценообразование

Подписки на платформу

Цены в USD зафиксированы 28 октября 2026 года для 10 пользователей в каждом платном плане; годовые цены — итог за год. Они не включают удерживаемые, импортные налоги, налоги с продаж, НДС и другие местные налоги.

Developer не требует карты и указывает повторное сканирование раз в три дня. Квоты в карточках планов подчиняются добросовестному использованию. Тире означает, что в карточке нет квоты на группы масштабирования VM.

Aikido Max предлагается как дополнение по запросу цены с неограниченными ежемесячными кредитами для всех ИИ-функций, включая Deep Review, при добросовестном использовании.

Баланс кошелька и лимиты расходов

Один кредит Aikido равен $1 USD. Подходящие активные рабочие пространства Pro и Advanced могут получать соответственно 100 и 200 бесплатных кредитов в календарный месяц; Developer и Basic таких пополнений не включают. Купленные и бесплатные кредиты образуют общий бессрочный баланс. Без использования кошелька бесплатного пополнения в этом месяце может не быть; прежний баланс сохраняется.

Минимальная покупка — 500 кредитов за транзакцию. Можно платить картой или по счёту, но счёт доступен только платным клиентам; кредиты поступают после успешной оплаты.

Администраторы рабочего пространства задают лимиты расходов по функциям; сроки сброса зависят от функции. При достижении лимита Aikido пропускает списывающие кредиты действия до сброса.

Deep Review стоит один кредит за запрос на слияние без доплаты за последующие проверки того же PR. При исчерпании кредитов проверки пропускаются. Месячный лимит пропускает платные проверки до следующего календарного месяца.

Объём пентеста и плата за использование

Standard Pentest стоит 4000 кредитов за ограниченную по времени оценку одного приложения и его основных API. Rightsized Pentests по подключённым репозиториям отображает векторы атак и определяет значимый для безопасности объём тестирования; итог подтверждается до начала. Rightsized показывает $50–$30000+, определяя объём по репозиториям, конечным точкам и ролям.

Continuous Pentesting стоит 10 кредитов за запущенного агента. Оценка в пересчёте на год основана на последних 30 днях активности Git. Aikido проверяет настроенные развёртывания или плановые запуски, но запускает агентов лишь для значимых для безопасности изменений. Реальная плата зависит от запусков, а не только от оценки. Находки первого пентеста можно перепроверять до шести месяцев, включая поиск обходов исправлений.

Run now, pay later

Первую полную оценку можно начать с ожидающими оплаты кредитами без предварительной покупки. Находки High и Critical размыты до оплаты; крупные оценки показывают хотя бы одну такую находку для ознакомления. Отчёт и повторные тесты доступны после оплаты или списания ожидающего долга. До повторного применения предложения нужно погасить весь непогашенный остаток.

Условия: нет неоплаченных кредитов, пентест стоит не более 8000 кредитов, есть минимум один активный недемонстрационный репозиторий, минимум два действительных тестовых аккаунта и рабочий email пользователя или администратора рабочего пространства. Личные адреса не подходят.

Списание требует всех условий: первая полная оценка рабочего пространства, использование Run now, pay later, Rightsized Pentest с рекомендованным или более глубоким охватом, правильная настройка для тщательного тестирования и завершение без High или Critical. Условие неоплаты исключает охват ниже рекомендованного, вторые запуски и перепроверки, Continuous Pentesting, узкие тесты функций или конечных точек и неполную настройку, например отсутствие пользователей или достаточного контекста приложения. В нём могут отказать и при Medium или Low, если Exploit Further был доступен, но не использован, а находка обоснованно могла достичь серьёзности High или Critical. Речь о серьёзности, а не только о повышении привилегий.

Продление и расторжение

Публичный MSA предусматривает автопродление на срок, равный текущему, и письменное уведомление минимум за 30 календарных дней для расторжения в конце срока. При расторжении не из-за неустранённого существенного нарушения Aikido клиент оплачивает оставшийся срок. Если причина — такое нарушение Aikido, возвращается пропорциональная часть предоплаченных неиспользованных сумм.

Бесплатная карточка обещает «бесплатно навсегда», но MSA не даёт бесплатной версии минимального или гарантированного срока и разрешает Aikido прекратить её в любой момент по любой причине.

Альтернативы

Snyk перечисляет продукты для кода, зависимостей открытого ПО, контейнеров, инфраструктуры как кода, API/web DAST и секретов: сравнение по охвату сканеров для разработчиков.

SonarQube охватывает проверку кода, качество и безопасность; SonarQube for IDE даёт анализ на лету и рекомендации по коду. SonarQube Cloud — полностью управляемый SaaS; SonarQube Server самостоятельно управляется в периметре клиента.

Ограничения

Охват обнаружения и операционный риск

• Неясная достижимость: рефлексия, динамические импорты, метапрограммирование и сложные шаги сборки могут скрывать части графа вызовов. Aikido описывает осторожный подход: неоднозначную находку сохраняют или снижают её серьёзность, а не скрывают как недостижимую.
• Проверки известных доменов: Quick Scan охватывает внешнюю доступность и настройки: заголовки, cookie, TLS. Это не инструмент глубоких тестов инъекций или доказательства доступа пользователей к чужим данным.
• Объём пентеста: Aikido Pentest не включает социальную инженерию и физическую безопасность и не гарантирует обнаружение всех уязвимостей.
• Влияние на цели: приложение к договору о пентестах описывает автономных агентов как потенциально непредсказуемых и недетерминированных, с риском снижения производительности, перебоев сервиса или изменения данных. Клиенты задают цели и контекст. Результаты относятся к конкретному моменту и могут включать ложные срабатывания, пропуски или ИИ-наблюдения, которые нельзя воспроизвести или полностью объяснить.

Авторизация и тестирование учётных данных

Цели должны быть явно обозначены и принадлежать клиенту либо иметь законное разрешение на тест. Для сторонних целей требуется явное согласие этой стороны. Тесты приложений по умолчанию идут в непроизводственной, подготовительной или тестовой среде без данных реальных пользователей и риска для действующего бизнеса, если обе стороны явно письменно не договорились иначе. Network Pentests может включать производственные цели, явно выбранные в объёме, с признанием повышенного риска для сервиса.

Credential-Based Testing необязателен и требует явного выбора в настройке объёма или письменного разрешения. Он может охватывать стандартные или слабые учётные данные и ранее утёкшие учётные данные, предположительно связанные с клиентом, доменами или пользователями. Разрешение можно ограничить целью, порталом или категорией учётных данных и отозвать; остановка обещана в коммерчески разумный срок. Клиенту нужны соответствующие права и основание обработки персональных данных. Приложение также признаёт возможность блокировки аккаунтов, оповещений, сброса паролей и подобных последствий.

Доступ к репозиториям и хранение кода

AutoFix GitHub App запрашивает чтение/запись для Code, PRs и Workflows и чтение для Checks и Actions. Этот путь исправления с записью отличается от минимального доступа только для чтения в стандартной интеграции сканирования.

По словам Aikido, для анализа репозитория создают новый контейнер, а при завершении его работы данные анализа стирают. Документированы исключения: AutoFix сохраняет исходные и исправленные diff затронутых файлов, AutoTriaged SAST — деревья вызовов находок до двух недель.

Документация данных репозиториев указывает экземпляры приложения EU, US, US Gov, ME и AU и хранение в соответствующих регионах.

Обработка ИИ, персональные данные и записи тестов

Aikido описывает ИИ-операции как только инференс с временной обработкой в памяти без хранения и повторного использования, а небольшие обезличенные фрагменты кода могут помогать точной сортировке и исправлению. Для AutoFix SAST, IaC и контейнеров, по его словам, только минимально нужные фрагменты отправляются по зашифрованным каналам в AWS Bedrock; ни Aikido, ни AWS Bedrock не обучают и не дообучают модели на этом коде. Эти заявления поставщика относятся к указанным видам обработки.

Политика конфиденциальности размещает персональные данные в Европе и США и хранит сервисные данные в ходе отношений с клиентом и после них для работы, истории и архивирования. Подконтрольные Aikido персональные данные могут быть удалены по проверенному запросу.

Действия и находки пентеста журналируются. Тестовые данные могут использоваться для выдачи результатов и улучшения сервиса; учётные данные тестирования и прочие персональные данные ограничены выдачей результатов по DPA. Необработанные тестовые данные хранят ограниченное время для последующих вопросов или защиты от претензий, затем удаляют; в цитируемом пункте нет фиксированного срока. Aikido может оставить архивную копию итогового отчёта.

MSA сохраняет собственность клиента на контент, репозитории, кодовые базы, контейнеры и облачную инфраструктуру, разрешая обработку для исполнения обязательств, реализации договорных прав, соблюдения закона или разрешения. После расторжения он даёт 30 дней на получение контента в исходном формате и аналитики использования и требует очистить контент в течение 200 дней. Хранение в этот период ограничено доступностью резервных копий.

ЧаВо

Q1. Нужен ли доступ к исходному коду для пентеста?

Нет. По словам Aikido, доступ к репозиториям заметно улучшает контекст логики приложения, ролей и потоков данных, углубляя охват и повышая точность находок.

Q2. Что подключить перед Continuous Pentesting?

Нужно завершить первоначальную оценку и подключить репозитории для выявления значимых для безопасности изменений. После настройки Aikido может выполнять целевые пентесты по мере изменения приложения.

Q3. Кто управляет доступом к API и MCP?

Настройка API-токенов использует OAuth Client Credentials для межсерверного обмена. Администратор рабочего пространства сначала создаёт учётные данные клиента для получения токена доступа.

Права MCP задают администраторы рабочего пространства; они применяются ко всем пользователям во всех MCP-инструментах. Список проблем ограничен уже доступными пользователю, а игнорирование находок по-прежнему подчиняется его текущим ролевым правам.